Zusammenfassung

  • Von 13 Generatoren für künstlichen BGP-Verkehr führte der am treuesten auf RRC4 abgestimmte zum Detektor, der im RRC5-Test 35–41 Prozent der Anomalien verfehlte.
  • Der Detektor erkannte das BGP-Signal zum Stromausfall auf der Iberischen Halbinsel im April 2025 binnen zehn Minuten bei 1,3 Prozent Fehlalarmen; im Blindtest auf AS766 bestätigten Betreiber eine 65-minütige Routing-Episode.

Analyse

Im Transkript ihres RIPE-93-Vortrags erinnert Shadi Motaali an ihre Zeit bei einem Internetanbieter im Iran: Routing-Vorfälle und Kundenbeschwerden gaben ihrer Forschungsfrage einen Takt. Wie schnell bemerkt ein Netz den Fehler — in Minuten oder erst nach dem Anruf eines Kunden?

Synthetische BGP-Generatoren erzeugen künstliche Routenmeldungen, mit denen Detektoren trainiert werden. Motaali verglich 13 Generatoren, stellte 30 dokumentierte Ereignisse anhand veröffentlichter Zeitstempel zusammen und trainierte auf RIPE RIS RRC4, bevor sie auf RRC5 testete. Der Generator, dessen künstlicher Verkehr dem RRC4-Ausgangskollektor am treuesten entsprach, führte zum größten Einbruch beim Wechsel: Der Detektor übersah 35–41 Prozent der Anomalien. Die RIPE-Unterlagen ordnen die beiden Prozentwerte keinen bestimmten Testläufen zu und beziffern die durch Topologie zurückgewonnenen Treffer nicht.

Motaali reduzierte 48 Kandidaten aus UPDATE-Statistiken auf 25 Merkmale; erhalten blieb nur, was sechs Auswahlalgorithmen gemeinsam auswählten. Das verringerte Rauschen und beschleunigte die Erkennung. Dazu kam ein Graph der AS-Verbindungen. Für ein dünn verknüpftes oder sternförmiges Netz genügte eine flache Modellklasse; ein dichtes Netz verlangte nach einem Klassifikator, der die Beziehungen zwischen Merkmalen berücksichtigt. Zwei Nachbarn und hundert Transitverbindungen erzählen dem Modell verschiedene Geschichten.

Der daraus entwickelte Detektor wurde an zwei Ereignissen geprüft. Beim iberischen Stromausfall im April 2025 erkannte er das BGP-Signal innerhalb von zehn Minuten; die Fehlalarmrate lag bei 1,3 Prozent. Das Modell war fünf Monate zuvor trainiert und nicht neu trainiert worden. Im Blindtest auf AS766 (RedIRIS) bestätigten Betreiber eine 65-minütige Routing-Episode unabhängig anhand der Zeitstempel. Der Bericht nennt den Trainingskollektor dieser beiden Echtwelttests nicht.

Motaali sagte, ein Alarm zeige auch das Merkmal, das ihn ausgelöst hatte. Betreiber prüften den Hinweis an ihren eigenen Routen: In einem Fall fanden sie gebündelte Rückzüge von Upstream-Routen. Motaali hielt Konvergenz für eine mögliche Ursache; den Verkehr beeinträchtigte der Vorfall nicht. Genau dort endet die Rangliste der Generatoren und beginnt die Arbeit des Betreibers.

Quellen